استغلال CVE-2024-21413 (Outlook)

حالة المشروع: متوقف مؤقتًا (تمرين غير مكتمل؛ لم يُنجح التقاط هاشات NTLM)

الأهداف

محاولة استغلال الثغرة الأمنية CVE-2024-21413، التي تسمح بتسريب هاشات NTLM في Outlook عند التفاعل مع روابط خبيثة.

لم يكن الهدف من هذا التمرين بناء جميع الأدوات المستخدمة في الهجوم من الصفر، بل فهم آلية عملها الأساسية بعمق وتجربة الأخطاء الحقيقية عند تجهيز بنية تحتية خاصة.

لقد استخدمت أكواد استغلال (exploits) وخوادم SMTP/POP3 مطوّرة بواسطة طرف ثالث ونشرها المجتمع، الذي أقدّم له امتناني العميق.

المحتوى

• المتطلبات
• الآلات الافتراضية
• التثبيت
• تدفق الاستغلال
• الاختبارات والنتائج
• الدروس المستفادة

المتطلبات

• Python 3.10+
• Outlook 2016
• Kali linux
• خوادم SMTP/POP3 خاصة
• الإكسبلويت
• آلات افتراضية

الآلات الافتراضية

الآلة الضحية (Windows)

• نظام التشغيل: Windows 10 Home (x32)
• Outlook: Microsoft Outlook 2016 (الإصدار 16.0.4266.1001)
• الشبكة: المحول 1: NAT، المحول 2: شبكة داخلية

الآلة المهاجمة (Kali)

• نظام التشغيل: Kali Linux 2025.1
• الأدوات والمكتبات المثبتة:
  • Python 3.10+
  • smtplib
  • email
  • socket
  • threading
  • os
  • aiosmtpd
  • servidor-smtp.py
  • servidor-pop3.py
  • exploit.py
• الشبكة: المحول 1: NAT، المحول 2: شبكة داخلية

البنية التحتية

• تم تشغيل خادمي SMTP وPOP3 على الآلة المهاجمة (Kali) يدويًا باستخدام نصوص برمجية بلغة Python.

تم تشغيل الآلات في VirtualBox.

التثبيت

التثبيت (Kali)

تثبيت خادم SMTP

• Venv: بيئة افتراضية مع Python 3
  • الخطوة 1: إنشاء دليل للخادم والبيئة الافتراضية (mkdir smtp-lab) والوصول إليه (cd smtp-lab)
  • الخطوة 2: إنشاء بيئة افتراضية داخل الدليل (python3 -m venv venv)
  • الخطوة 3: تفعيل البيئة الافتراضية (source venv/bin/activate)
  • الخطوة 4: تثبيت aiosmtpd داخل البيئة الافتراضية (pip install aiosmtpd)
  • الخطوة 5: إنشاء كود الخادم (nano servidor-smtp.py)
  • الخطوة 6: تشغيل الخادم (python3 servidor-smtp.py)

كود خادم SMTP

يوجد كود خادم SMTP في الملف src/servidor-smtp.py.

تثبيت خادم POP3:

• الخطوة 1: إنشاء دليل للخادم (mkdir pop3-server) والوصول إليه (cd pop3-server)
• الخطوة 2: إنشاء كود الخادم (nano server-pop3.py)
• الخطوة 3: تشغيل الخادم (python3 server-pop3.py)

كود خادم POP3

يوجد كود خادم POP3 في الملف src/servidor-pop3.py.

تثبيت الإكسبلويت

• الخطوة 1: إنشاء الكود، هذا الكود مستخرج من CMNatic، لكنه عُدّل ليناسب بنيتي التحتية (nano exploit.py)

كود الإكسبلويت

يوجد كود الإكسبلويت في الملف src/exploit.py.

التثبيت (Windows 10)

• الخطوة 1: تثبيت ISO الخاص بـ Microsoft Office 2016، استخدمت موقع archive.org وقمت بتثبيت إصدار Microsoft Office 2016 Professional Plus x86
• الخطوة 2: بعد تثبيت الـ ISO، قم بتنزيل Microsoft Office والوصول إلى Outlook 2016
• الخطوة 3: إعداد Outlook بشكل صحيح

إعداد Outlook 2016

يُوضح هنا كيفية إعداد Outlook ليعمل مع خادمي SMTP وPOP3 المخصصين للاختبار.

• في كلٍّ من حقلي "Incoming mail server" و"Outgoing mail server(SMTP)" يجب وضع عنوان IP لواجهة الشبكة الداخلية للآلة المهاجمة (Kali).
• كلمة المرور غير مهمة للهجوم، ويمكن اختيار أي واحدة.

تدفق الاستغلال

الهدف من الإكسبلويت الخاص بـ CVE-2024-21413 هو جعل Outlook يرسل طلبًا تلقائيًا من نوع SMB إلى مورد يتحكم فيه المهاجم، مما يؤدي إلى إرسال هاش NTLM الخاص بالضحية، والذي يمكن التقاطه دون اتصال (offline) بغرض التكسير.

تجهيز البيئة

1. تشغّل الآلة المهاجمة (Kali) خادم SMTP وPOP3 مخصصًا.
2. تم إعداد Outlook على الآلة الضحية (Windows 10) لاستقبال رسائل البريد من ذلك الخادم.
3. تشغّل الآلة المهاجمة (Kali) خادم SMB مزيفًا (في حالتي استخدمت responder)

إرسال البريد الخبيث

• يتم إرسال بريد إلى الضحية من خادم SMTP الخاص بالمهاجم.
• يحتوي نص الرسالة على رابط UNC خبيث.
• تم تصميم المسار لتفعيل اتصال SMB تلقائيًا إذا تفاعل المستخدم مع الرابط.

تفاعل المستخدم

• تفتح الضحية Outlook وترى الرسالة.
• يُتوقع منها النقر على الرابط.
• إذا حاول Outlook حلّ مسار UNC، يتم إنشاء طلب SMB إلى خادم المهاجم.
• فيما يلي شكل البريد الخبيث في Outlook من منظور الضحية:

التقاط الهاش

• يتلقى خادم SMB الخاص بالمهاجم الاتصال.
• عند محاولة Outlook المصادقة، يرسل تلقائيًا هاش NTLM الخاص بالمستخدم.
• يمكن للمهاجم حفظ هذا الهاش لشن هجوم من نوع hashcat.

ملاحظات

• في حالتي، كان البريد يصل إلى Outlook بشكل صحيح.
• ومع ذلك، عند النقر على رابط UNC، لم يتم إنشاء اتصال SMB المتوقع.
• ما زلت أجهل سبب الفشل، رغم أنني أشك في أنه قد يكون مرتبطًا بإعدادات الشبكة، أو إصدار Outlook، أو مشكلة في إمكانية الوصول أو استجابة خادم SMB.

الاختبارات والنتائج

الوظائف التي نجحت بالفعل

• تم إعداد SMTP وPOP3 بشكل صحيح، وتزامن Outlook معهما دون أخطاء.
• تم استلام البريد الخبيث بواسطة Outlook.
• عرضت الرسالة رابط UNC دون حظره.
• كانت بيئة SMB الخاصة بالمهاجم قيد التشغيل وفي وضع الاستماع.

ما لم ينجح

• عند النقر على رابط UNC من Outlook، لم يحدث أي حركة مرور SMB مرئية في Wireshark.
• لم يتم إنشاء أي محاولة مصادقة NTLM من الآلة الضحية
• لم يتم تسجيل أي اتصالات على خادم SMB.

التحليل باستخدام Wireshark

• تم التقاط الحزم على واجهة Kali (eth1).
• لوحظت حركة مرور SMTP وPOP3، لكن لم تظهر أي حزمة TCP 445 أو UDP 137/138 عند النقر على الرابط.
• تمت المحاولة أيضًا بتشغيل Outlook كمسؤول (Administrator): دون أي تغيير.

الدروس المستفادة

المعرفة المكتسبة

• كيفية عمل SMTP وPOP3 من المستوى المنخفض.
• ما الذي يتوقعه Outlook بالضبط عند مزامنة الحسابات.
• كيف يفسّر Outlook روابط UNC وما الشروط التي يجب توفرها ليفتحها تلقائيًا.
• قيمة Wireshark والسجلات (logs) كأدوات لتصحيح الأخطاء في المختبرات المعقدة.

لماذا قررت التوقف هنا

• بعد محاولات متعددة، لم يصل الإكسبلويت إلى مرحلة التقاط الهاش، والتي كانت الهدف النهائي.
• وثّقت البنية التحتية والاختبارات والنتائج بالكامل، وهو ما يظل قيّمًا كمختبر تعليمي.
• على الرغم من عدم تحقيق الهدف النهائي، أتاحت لي العملية اكتساب معرفة عميقة بكل مكوّن تقني معني. يمكن استئنافها في المستقبل.

الاعتمادات

يعتمد كود هذا الإكسبلويت على عمل CMNatic من https://github.com/CMNatic/CVE-2024-21413. وقد أجريت تعديلات لتكييفه مع بيئتي.